Contrat SaaS : réversibilité, propriété des données, niveau de service
On souscrit un logiciel en ligne en trois clics, en cochant une case « j’accepte les conditions générales ». Le jour où l’éditeur augmente ses tarifs, supprime une fonction ou ferme, on découvre ce que disaient ces conditions. Pour un outil qui contient vos clients, vos factures ou votre stock, une demi-heure de lecture avant de s’engager évite bien des difficultés.
Les spécificités d’un contrat SaaS
Avec un logiciel en ligne, l’entreprise n’achète pas un logiciel : elle paie un accès à un service. L’éditeur héberge l’application et les données, assure les mises à jour et fixe les règles. Le contrat est généralement un contrat d’adhésion, rédigé par l’éditeur, peu négociable pour une petite structure. Raison de plus pour savoir ce qu’on y cherche et choisir en conséquence.
La propriété des données
Le contrat doit indiquer clairement que les données saisies par le client restent sa propriété et que l’éditeur ne peut les utiliser que pour fournir le service. Lisez attentivement :
- ce que l’éditeur s’autorise à faire des données (statistiques, amélioration du service, usages commerciaux) ;
- s’il peut les communiquer à des tiers, et lesquels ;
- ce qu’il advient des données à la fin du contrat, et dans quel délai elles sont supprimées.
Une formulation vague du type « l’éditeur peut exploiter les contenus pour ses besoins » mérite une question écrite avant de signer.
La réversibilité
La réversibilité désigne la possibilité de récupérer ses données, dans un format exploitable, pour les transférer vers un autre outil. C’est la clause qui conditionne votre liberté de changer de solution.
Points à vérifier :
| Question | Ce qu’on souhaite lire |
|---|---|
| Quelles données sont exportables ? | Toutes, y compris l’historique et les pièces jointes |
| Dans quel format ? | Un format ouvert et documenté (fichier tabulaire, format structuré standard) |
| Quand ? | À tout moment, pas seulement à la résiliation |
| Combien de temps après la fin du contrat ? | Un délai précis pendant lequel l’export reste possible |
| L’export est-il payant ? | Conditions annoncées à l’avance |
| Une assistance est-elle prévue ? | Accompagnement possible pour une migration |
Un test simple : avant de vous engager, faites un export depuis la version d’essai et ouvrez le fichier obtenu. S’il est inexploitable, vous savez à quoi vous attendre. Gardez aussi l’habitude d’exporter régulièrement vos données principales : c’est un complément utile à votre stratégie de sauvegarde.
Le niveau de service (SLA)
Le niveau de service, souvent appelé SLA (pour service level agreement), décrit les engagements de l’éditeur sur la qualité du service. Il comprend en général :
- la disponibilité : un pourcentage de temps pendant lequel le service doit être accessible, calculé sur une période donnée ; vérifiez comment sont comptées les maintenances programmées ;
- les délais de prise en charge et de résolution des incidents, selon leur gravité ;
- les canaux et horaires du support ;
- les pénalités ou compensations si l’engagement n’est pas tenu, souvent sous forme d’avoir.
Beaucoup d’offres destinées aux petites entreprises ne prévoient aucun engagement chiffré, seulement une « obligation de moyens ». Ce n’est pas forcément rédhibitoire pour un outil secondaire, mais pour un outil de caisse ou de facturation, demandez-vous ce que coûterait une journée d’interruption.
La localisation et la sécurité des données
Le contrat ou la documentation doit indiquer où sont hébergées les données. Un hébergement dans l’Union européenne simplifie la conformité au RGPD ; un transfert hors de l’Union impose des garanties spécifiques. Cherchez également :
- les mesures de sécurité (chiffrement, sauvegardes, contrôle des accès) ;
- la procédure en cas de violation de données et le délai dans lequel le client est prévenu ;
- la possibilité d’activer la double authentification pour vos utilisateurs.
Le volet RGPD
Si le logiciel contient des données personnelles (clients, prospects, salariés), l’éditeur agit le plus souvent comme sous-traitant au sens du RGPD, et votre entreprise comme responsable du traitement. L’article 28 du règlement impose alors un contrat qui encadre ce traitement : objet et durée, nature des données, obligations de sécurité et de confidentialité, recours à d’autres sous-traitants, sort des données en fin de contrat, assistance au responsable du traitement. Chez les éditeurs, ce document prend souvent la forme d’une annexe ou d’un accord de traitement des données. Vérifiez qu’il existe. Pour une vue d’ensemble, voir RGPD dans une TPE : par où commencer.
Les autres clauses à repérer
- Durée et reconduction : engagement annuel ou mensuel, reconduction tacite, préavis de résiliation.
- Évolution des prix : l’éditeur peut-il modifier ses tarifs en cours d’engagement, avec quel préavis ?
- Évolution du service : peut-il supprimer des fonctions ? Vous prévient-il ?
- Responsabilité : les plafonds de responsabilité de l’éditeur sont souvent limités au montant de l’abonnement.
- Fin d’activité ou rachat de l’éditeur : que deviennent vos données ?
- Droit applicable et juridiction compétente : un contrat soumis à un droit étranger complique tout litige.
En pratique
Avant de souscrire un outil important, gardez une copie datée des conditions en vigueur, testez l’export, repérez la clause de réversibilité et l’accord de traitement des données. Pour un enjeu important, faites relire le contrat par un professionnel du droit : cet article donne des repères, pas un avis juridique adapté à votre situation. Et si ces contraintes vous font hésiter, comparez avec les autres options dans logiciel sur mesure ou SaaS.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.